Qu’est-ce qu’une ÉFVP ?
L’évaluation des facteurs relatifs à la vie privée est une démarche structurée qui vise à repérer, à mesurer et à réduire les risques qu’une activité fait peser sur les renseignements personnels des personnes concernées. Elle s’inscrit dans le principe de protection de la vie privée dès la conception (privacy by design) : on évalue les risques avant de lancer le projet, pas après.
Concrètement, une ÉFVP décrit le projet, recense les renseignements en jeu, vérifie que la collecte est nécessaire et proportionnée, identifie les risques et prévoit des mesures pour les atténuer. Le résultat est un document que vous conservez et que vous pouvez présenter en cas de vérification.
L’ÉFVP est le pendant québécois de l’AIPD européenne, mais les deux ne se recouvrent pas parfaitement.
| ÉFVP (Loi 25, Québec) | AIPD (RGPD, Europe) | |
|---|---|---|
| Terme | Évaluation des facteurs relatifs à la vie privée | Analyse d’impact relative à la protection des données |
| Déclencheur | Trois cas précis : système d’information; transfert hors Québec; communication sans consentement à des fins d’étude | Traitement susceptible d’engendrer un risque élevé pour les droits et libertés |
| Transfert transfrontalier | Une ÉFVP est exigée avant toute communication hors Québec, sans seuil de risque | Encadré séparément (clauses types, décisions d’adéquation) plutôt que par l’AIPD elle-même |
| Proportionnalité | L’ÉFVP doit être proportionnée à la sensibilité, à la finalité, à la quantité et au support des renseignements | Analyse requise surtout pour les traitements à risque élevé |
| Autorité | Commission d’accès à l’information (CAI) | Autorité de protection des données compétente |
La différence la plus lourde de conséquences en pratique : sous la Loi 25, tout transfert de renseignements personnels hors Québec déclenche une ÉFVP, alors que le RGPD traite les transferts par d’autres mécanismes.
Quand une ÉFVP est-elle obligatoire ?
La Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, prévoit trois situations où l’ÉFVP est obligatoire.
1. Un projet touchant un système d’information (art. 3.3). Avant d’acquérir, de développer ou de refondre un système d’information ou de prestation électronique de services qui implique la collecte, l’utilisation, la communication, la conservation ou la destruction de renseignements personnels. Cela vise, par exemple, l’adoption d’un nouveau CRM ou d’un nouvel outil RH, le changement de plateforme de paiement, une migration d’hébergeur ou l’ajout d’une fonctionnalité de personnalisation ou de géolocalisation.
2. Une communication à l’extérieur du Québec (art. 17). Avant de communiquer des renseignements personnels hors Québec. Le seuil n’est pas « hors du Canada » : un fournisseur dont les serveurs sont en Ontario, en Colombie-Britannique ou aux États-Unis déclenche l’obligation. La communication n’est permise que si l’évaluation démontre que les renseignements bénéficieraient d’une protection adéquate, et elle doit faire l’objet d’une entente écrite.
3. Une communication sans consentement à des fins d’étude, de recherche ou de statistiques. Avant de communiquer des renseignements personnels à un tiers, sans le consentement des personnes concernées, lorsque ce tiers souhaite les utiliser à ces fins.
Dans les trois cas, l’ÉFVP doit être proportionnée à la sensibilité des renseignements, à la finalité de leur utilisation, à leur quantité, à leur répartition et à leur support. Un petit projet appelle une évaluation courte; un projet complexe ou portant sur des renseignements sensibles appelle une analyse approfondie.
Qui réalise l’ÉFVP ?
La responsabilité de la démarche relève du responsable de la protection des renseignements personnels (RPRP). Par défaut, cette fonction revient à la personne ayant la plus haute autorité dans l’entreprise, mais elle peut être déléguée, en tout ou en partie, à une autre personne.
En pratique, une ÉFVP utile est rarement le travail d’une seule personne. Le RPRP coordonne, mais s’appuie généralement sur les responsables du projet, sur l’équipe des TI ou de la sécurité, et sur un conseiller juridique lorsque les enjeux le justifient. Les organisations plus grandes constituent parfois un comité chargé d’encadrer les questions de protection des renseignements personnels.
Comment réaliser une ÉFVP en 7 étapes
La CAI n’impose pas de modèle unique, mais son guide et la pratique convergent vers une démarche en sept temps. Voici un gabarit que vous pouvez adapter.
Décrire le projet
Objectif, portée, acteurs, calendrier. Qu’est-ce qui est mis en place, et pourquoi ?
Faire l'inventaire des renseignements
Quels renseignements personnels sont recueillis, par quels moyens, où ils circulent, où ils sont conservés et qui y a accès. C’est la cartographie des données.
Évaluer la nécessité et la proportionnalité
Chaque renseignement recueilli est-il nécessaire à la finalité déclarée ? Pourrait-on atteindre l’objectif en recueillant moins ?
Identifier les risques
Pour les personnes concernées : accès non autorisé, communication excessive, conservation trop longue, transfert vers un territoire moins protecteur, etc.
Déterminer les mesures d'atténuation
Chiffrement, contrôle des accès, minimisation, clauses contractuelles, anonymisation, paramètres de confidentialité par défaut au plus haut niveau.
Prendre et consigner la décision
Le risque résiduel est-il acceptable ? Le projet va-t-il de l’avant, avec quelles conditions ? La décision est documentée
Assurer le suivi
L’ÉFVP n’est pas figée : on la révise si le projet change, si un nouveau fournisseur entre en jeu ou si les finalités évoluent.
| Étape | Question clé | À documenter |
|---|---|---|
| 1. Description | Que fait-on et pourquoi ? | Portée, acteurs, échéancier |
| 2. Inventaire | Quels renseignements, où ? | Cartographie des données |
| 3. Nécessité / proportionnalité | Est-ce nécessaire ? | Justification par finalité |
| 4. Risques | Qu’est-ce qui peut mal tourner ? | Liste des risques |
| 5. Mesures | Comment réduire le risque ? | Mesures techniques et organisationnelles |
| 6. Décision | Le risque résiduel est-il acceptable ? | Décision motivée |
| 7. Suivi | Qu’est-ce qui a changé ? | Date de révision, responsable |
ÉFVP et site Web : témoins, analytique, CMP et fournisseurs américains
C’est le point aveugle le plus fréquent. La plupart des sites Web s’appuient sur des outils tiers — analyse d’audience, pixels publicitaires, widgets de clavardage, hébergement — dont beaucoup sont établis hors Québec. Dès qu’un de ces outils entraîne une communication de renseignements personnels à l’extérieur du Québec, l’obligation d’ÉFVP s’applique.
Quelques cas typiques : un outil d’analyse d’audience qui traite les adresses IP et les comportements de navigation sur des serveurs américains; un pixel de réseau social; un service d’infonuagique dont la société mère ou les sous-traitants se trouvent à l’étranger. Chaque fournisseur représente un transfert distinct, avec sa propre chaîne de responsabilité : en principe, chacun mérite sa propre évaluation.
Une plateforme de gestion du consentement (CMP) ne réalise pas l’ÉFVP à votre place, mais elle en facilite plusieurs étapes : elle recense les témoins et technologies de suivi actifs sur votre site (l’inventaire de l’étape 2), bloque les outils non essentiels jusqu’au consentement, et conserve des registres de consentement horodatés qui documentent vos pratiques.
Documentation et conservation : ce que la CAI attend
L’ÉFVP n’a pas à être transmise à la CAI de façon systématique. Mais la Commission peut la demander lors d’une vérification, et l’absence d’ÉVFP là où elle était requise constitue un manquement. Vous devez donc la produire, la dater et la conserver avec vos autres documents de conformité.
La loi ne fixe pas de durée de conservation précise pour l’ÉFVP. La pratique prudente consiste à la garder aussi longtemps que le système ou la relation avec le fournisseur demeure actif, puis un certain nombre d’années après la fin de la relation, au cas où la démarche serait remise en question.
Erreurs fréquentes à éviter
Ne réaliser aucune ÉFVP. Beaucoup d’organisations utilisent des dizaines d’outils étrangers sans avoir jamais documenté la moindre évaluation. C’est le manquement le plus répandu.
Confondre l’ÉFVP et la politique de confidentialité. L’ÉFVP est une analyse de risques interne; la politique de confidentialité est un document public. Les deux sont exigées, mais elles ne remplissent pas la même fonction.
Oublier les outils « gratuits ». Les services d’analyse d’audience, les pixels et les widgets gratuits impliquent souvent un transfert de renseignements hors Québec — donc potentiellement une ÉFVP.
Croire que le seuil est « hors Canada ». Un fournisseur en Ontario suffit à déclencher l’obligation. Le critère est la sortie du Québec, pas du pays.
Produire une évaluation disproportionnée. L’ÉFVP doit être à la mesure du risque. Une PME qui ajoute un simple formulaire n’a pas besoin de la même analyse qu’une grande plateforme de données.